Problem
Din risk att utsättas för hotet Win32/Conficker beror på en sårbarhet i Microsofts operativsystem (Microsoft släppte en patch för denna sårbarhet i oktober 2008). För att undvika infektioner orsakade av sårbarheter i Microsofts operativsystem bör du se till att din dator (och alla datorer i ditt nätverk) alltid är uppdaterad med den senaste Microsoft Windows-uppdateringen. Du kan hitta de senaste uppdateringarna på http://update.microsoft.com/.
För att skydda dig mot Conficker följer du steg-för-steg-instruktionerna i den här artikeln. Eller klicka på lämplig länk nedan för att hoppa till ett specifikt avsnitt:
Lösning
Förhindra infektion
A-Hämta Microsofts säkerhetsfixar
B - Inaktivera Autorun och Autoplay (Windows XP och Windows Vista)
Du kanske vill inaktivera funktionerna Autorun och Autoplay i ditt Windows-system för att förhindra att tillverkare av skadlig programvara missbrukar dessa säkerhetsbrister. USB-enheter och andra flyttbara media, som nås av Autorun/Autoplay-funktionerna varje gång (som standard) du ansluter dem till datorn, är de mest använda virusbärarna idag.
Microsoft Windows Autorun och Autoplay är funktioner som till en början var avsedda att förenkla körning av CD-innehåll genom att automatiskt:(i) köra filen Autorun .inf (och alla eventuella skadliga instruktioner som den innehåller) - Autorun-sårbarhet(ii) öppna ett popup-fönster med tillgängliga åtgärder (varav vissa kan vara fientliga triggers som tagits över från en skadlig Autorun .inf) - Autoplay-sårbarhet
- Om du vill inaktivera Autorun och Autoplay högerklickar du på den här länken för att ladda ner filen DisableAutorun.reg och väljer Spara länk som...
- I fönstret Spara som ska du se till att:
(i) rullgardinsmenyn Spara som typ är inställd på Alla filer eller Registreringsposter (*.reg) (eller liknande, beroende på din webbläsare)
(ii) fältet Filnamn innehåller det exakta namnet på registerfilen (t.ex. DisableAutorun.reg) - Klicka på Save (Spara). Bekräfta eventuella uppmaningar att spara registerfilen.
- Dubbelklicka på den sparade filen och bekräfta att du vill lägga till registerposten genom att klicka på Yes. Klicka på OK för att avsluta.
B2 - Så här återaktiverar du Autorun och Autoplay (Windows XP och Windows Vista)
Om du behöver ångra de ändringar du har gjort enligt instruktionerna i avsnitt B (ovan) högerklickar du på den här länken för att ladda ner filen ReenableAutorun.reg och upprepa instruktionerna från avsnitt B (ovan), men den här gången använder du filen ReenableAutorun.reg.
Rengöringssteg (enstaka maskin)
-
Koppla bort den infekterade datorn från nätverket och internet.
-
Använd en oinfekterad dator för att ladda ner respektive Windows-patchar från avsnitt A ovan. Installera alla korrigeringar.
-
Återställ dina systemlösenord till administratörskonton med mer sofistikerade lösenord. Observera att infiltrationen kan spridas via delade mappar.
(i.) Tryck på CTRL+ALT+DELETE och klicka sedan på Ändra lösenord...
(ii.) Skriv in ditt gamla lösenord, skriv in ditt nya lösenord, skriv in ditt nya lösenord igen för att bekräfta det och tryck sedan på ENTER.
-
Ladda ner ett engångsprogram från ESET (återigen med en icke-infekterad dator) som tar bort masken. Om du inte har en ESET-produkt (3.0 eller senare) installerad kan du ladda ner (med en icke-infekterad dator) och köra vår kostnadsfria fristående rensare:
-
Ladda neroch installera den senaste versionen av din ESET-programvara.
För att verifiera att den fristående rensaren tog bort Conficker-hotet, kör om den fristående rensaren och kör sedan en skanning med din ESET-produkt.
När du har kört ESET Standalone Cleaner rekommenderar vi att du läser följande Microsoft-artikel för information om viktiga säkerhetsuppdateringar och rekommenderade gruppändringar:
För maximalt skydd mot framtida hot bör du se till att operativsystemet är uppdaterat enligt Microsofts rekommendationer och att din ESET-produkt är uppdaterad.
Rengöringssteg (nätverk)
- Om du inte vill hämta alla Windows-uppdateringar, men vill försäkra dig om att du åtminstone är skyddad mot Win32/Conficker-hot, kan du hämta och installera korrigeringarna(KB958644, KB957097 och KB958687) i följande Microsoft Security Bulletins på alla maskiner i ditt nätverk:
- Installera och uppdatera en säkerhetslösning från ESET på alla datorer
- Ändra alla lösenord i nätverket eftersom Conficker kommer att använda alla lösenord som den redan har loggat eller kommit över genom brute force.
-
Kör ESET Conficker Removal Tool på varje maskin:
- Ta bort alla schemalagda uppgifter som skapades av Win32/Conficker genom att använda följande kommando på klienterna:
at /delete /yes
Om ovanstående steg inte löser problemet ska du återställa alla lösenord och sedan utföra följande steg för att identifiera vilka maskiner som fortfarande försöker sprida infektionen:
-
Aktivera granskning av misslyckade inloggningshändelser:
-
På dina domänkontrollanter klickar du på Start → Administrationsverktyg → Säkerhetspolicy för domänkontroll.
-
Navigera till Säkerhetsinställningar → Lokala policyer → Granskningspolicy → Granska inloggningshändelser.
-
-
Se till att Granska inloggningshändelser är inställt på att registrera alla lyckade och misslyckade händelser.
-
-
- Övervaka säkerhetshändelseloggen på din(a) domänkontrollant(er) för händelse-ID:n 529 (om inga 529-händelser inträffar använder Win32/Conficker korrekta administrativa lösenord - dina lösenord måste därför ändras).
- När du tittar på egenskaperna för händelsen ser du ett "Workstation Name". Detta är den skyldige, eller en av de skyldiga, som försöker infektera andra datorer.
- Gå till den eller de identifierade klienterna och upprepa steg 1-5 ovan.
När du har slutfört ovanstående steg för rengöringssteg (nätverk) bör alla administrativa lösenord ändras igen för att säkerställa att Conficker inte har något av dessa lösenord. Om Conficker fortfarande visar hot efter att alla maskiner har patchats, finns det antingen en opatchad maskin kvar eller så är ESET inte installerat och uppdaterat på en maskin.
